Workflows

Workspace identity et service principals : arrêter de rafraîchir en tant que personne

Par Adrien Yvin · oct. 13, 2026

fabricservice-principalworkspace-identityrefreshsecurity

Quand le lead BI part, le refresh meurt. Chaque connexion sous son user est une bombe.

Deux patterns non humains

Workspace identity (Fabric) : identité du workspace, accès aux sources in-platform, moins de secrets.

Service principal : app Entra, encore nécessaire pour gateway, Azure SQL, CLI/REST. Secret/cert + rotation + groupe owner.

Accès à la source, pas Contributor sur la souscription. Refresh = lecture Gold. L’identité pipeline ≠ viewers RLS.

Compte de service (gMSA si possible), pas un admin nommé. Côté cloud : SP / workspace identity, pas le token OAuth du partant.

Owner = groupe. Calendrier d’expiry. Dual-run Dev → Test → Prod. Break-glass nommé.

Exporter les connexions OAuth2 avec UPN user : c’est le backlog.

Sortir un tenant des credentials personnels sans outage lundi ? Réservez un appel de 30 minutes.